PHP中用ClientID/TenantID/ClientSecret获取Microsoft 365 AccessToken报错排查

以下是针对问题的排查和修复步骤：

1. 确认权限配置是否正确 #

• 你使用的是Client Credentials（客户端凭据）授权流程，因此必须在Azure AD中为应用授予应用权限（而非委托权限）的Mail.Send，并且必须完成管理员同意（应用权限需要全局管理员或Exchange管理员批准才能生效）。
  • 登录Azure门户，进入应用注册→你的应用→API权限→确保添加的是Microsoft Graph下的应用权限Mail.Send，且状态显示为“已授予{租户名}管理员同意”。

2. 检查客户端凭据和租户ID的准确性 #

• 确认clientId、clientSecret、tenantId没有拼写错误，没有多余的空格或特殊字符。注意clientSecret是应用注册中“证书和密码”里生成的客户端密码，不是应用ID。

3. 验证请求端点和Scope #

• 你的代码中使用的v2.0端点是正确的，scope设置为https://graph.microsoft.com/.default符合Client Credentials流程要求（该scope会自动包含所有已授予的应用权限）。如果之前误使用了委托权限的scope，也会导致invalid_request。

4. 检查GenericProvider的配置完整性 #

• 尝试在GenericProvider配置中显式指定grantType参数，部分版本的League OAuth2 Client可能需要明确声明：

$oauthClient = new GenericProvider([
    'clientId'                => $clientId,
    'clientSecret'            => $clientSecret,
    'urlAuthorize'            => 'https://login.microsoftonline.com/' . $tenantId . '/oauth2/v2.0/authorize',
    'urlAccessToken'          => 'https://login.microsoftonline.com/' . $tenantId . '/oauth2/v2.0/token',
    'urlResourceOwnerDetails' => '',
    'scopes'                  => 'https://graph.microsoft.com/.default',
    'grantType'               => 'client_credentials' // 显式指定授权类型
]);

5. 排查网络和环境问题 #

• 确保你的服务器可以正常访问https://login.microsoftonline.com，没有被防火墙、代理或安全组拦截。可以在服务器上执行curl https://login.microsoftonline.com/{tenantId}/oauth2/v2.0/token测试连通性。

6. 确认应用注册类型 #

• 你的应用必须是机密客户端（Azure应用注册中“身份验证”→“高级设置”→“允许公共客户端流”需设置为“否”），因为Client Credentials流程需要使用client_secret，公共客户端不支持该流程。

如果以上步骤都排查后仍有问题，可以捕获更详细的错误信息，比如修改catch块输出完整的异常响应：

catch (\League\OAuth2\Client\Provider\Exception\IdentityProviderException $e) {
    exit('Error: ' . $e->getMessage() . PHP_EOL . 'Response: ' . $e->getResponseBody());
}

通过完整的响应内容可以更精准定位问题，比如是否存在权限未授予、凭据无效等具体提示。

内容的提问来源于stack exchange，提问作者Tung Le